Abo
  • Services:
Anzeige
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind.
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind. (Bild: Screenshot)

Verschlüsselung: Mehrfach genutzte SSH-Keys weit verbreitet

Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind.
Bekannte private Schlüssel von SSH-Geräten, die mit dem Internet verbunden sind. (Bild: Screenshot)

Bei einem Scan des Internets hat sich herausgestellt, dass Hunderttausende von Geräten denselben SSH-Schlüssel nutzen. Teilweise liegt das an Fehlern, teilweise an fragwürdigen Konfigurationsentscheidungen.

Anzeige

Der IT-Sicherheitsforscher John Matherly hat herausgefunden, dass Hunderttausende Geräte an öffentlichen IPs dieselben SSH-Serverschlüssel einsetzen. Der am häufigsten genutzte Key stammt von Geräten des spanischen Internetproviders Telefónica. Offenbar wurden Router an Kunden ausgeliefert, die ein öffentliches SSH-Interface anbieten und dafür einen Standardschlüssel einsetzen, der auf allen Geräten derselbe ist. Der Key von Telefónica wurde auf circa 250.000 Geräten verwendet. Matherly hat dies bei der Analyse von Daten festgestellt, die bei Scans des Internet-Adressraums gesammelt wurden.

140.000 IPs von 1&1 mit demselben Key

Während im Fall von Telefónica klar sein dürfte, dass es sich um eine Sicherheitslücke handelt, ist das in anderen Fällen weniger eindeutig. So findet sich ein Key von 1&1 auf 140.000 verschiedenen IPs. Die IPs betreffen Webhosting-Server, vermutlich handelt es sich um eine deutlich geringere Anzahl an Servern, die für verschiedene IPs zuständig sind. Auf mehreren Servern denselben Schlüssel zu verwenden, ist nicht direkt ein Sicherheitsrisiko - es gilt allerdings als schlechte Praxis. Wird nur ein einziger Server davon gehackt, besitzt ein Angreifer den Key für alle anderen Server.

In vielen Fällen sind dies Sicherheitsprobleme, die schon lange bekannt oder auch öffentlich dokumentiert sind. Router des deutschen Herstellers Lancom wurden in früheren Versionen mit einem Standard-SSH-Schlüssel ausgeliefert. Ein Geheimnis ist das nicht, man kann es im Handbuch für das auf den Geräten verwendete Betriebssystem LCOS nachlesen.

Der Metasploit-Entwickler HD Moore hat auf Github ein Repository angelegt, in dem er Informationen über problematische SSH-Keys sammelt. HD Moore ruft auf Twitter dazu auf, Informationen über weitere problematische SSH-Schlüssel zu sammeln und ihm als Pull-Request zu schicken.

Auch Login-Keys von Geräten öffentlich bekannt

Besonders problematisch: In einigen Geräten findet man auch Keys zum Einloggen, die von vielen Systemen geteilt werden. Ist ein Angreifer im Besitz eines solchen Keys, kann er das Gerät direkt übernehmen. Bei Server-Keys lassen sich die betroffenen Schlüssel hingegen für eine Man-in-the-Middle-Attacke nutzen. Das ist allerdings deutlich aufwendiger.

Bereits 2012 hatte ein Forscherteam um die Kryptografin Nadia Heninger eine ähnliche Untersuchung vorgenommen und dabei diverse Sicherheitsprobleme mit kryptografischen Schlüsseln gefunden. In der FAQ zur entsprechenden Forschungsarbeit steht, dass damals 10 Prozent der SSH-Server Keys verwendeten, die aufgrund von Sicherheitslücken von mehreren Systemen eingesetzt würden. Systeme wie die von 1&1, bei denen es sich vermutlich nur um eine ungünstige Konfiguration handelt, wurden dabei bereits herausgerechnet. Bei vielen der betroffenen Geräte handelte es sich auch um Keys, die direkt beim Booten erstellt werden - zu einem Zeitpunkt, zu dem auf dem System noch kein funktionierender Zufallszahlengenerator zur Verfügung steht.


eye home zur Startseite
Cyb3rfr3ak 19. Feb 2015

So ein Quatsch... und ein Key Paar wird da schon gar nicht erzeugt.. 1) Client verbindet...



Anzeige

Stellenmarkt
  1. twocream, Wuppertal
  2. Robert Bosch GmbH, Leonberg
  3. Schwarz IT Infrastructure & Operations Services GmbH & Co. KG, Neckarsulm
  4. Jobware Online-Service GmbH, Paderborn


Anzeige
Spiele-Angebote
  1. 64,97€/69,97€
  2. 69,99€ (Vorbesteller-Preisgarantie)
  3. 389,99€

Folgen Sie uns
       


  1. Polar

    Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung

  2. Marketplace

    Amazon spricht bei Sperrungen von "Prozessen zum Schutz"

  3. CPU-Architektur

    RISC-V-Patches für Linux erstmals eingereicht

  4. FSP Hydro PTM+

    Wassergekühltes PC-Netzteil liefert 1.400 Watt

  5. Matebook X und E im Hands on

    Huawei kann auch Notebooks

  6. Celsius-Workstations

    Fujitsu bringt sichere Notebooks und kabellose Desktops

  7. O2 und E-Plus

    Telefónica hat weiter Probleme außerhalb von Städten

  8. Project Zero

    Google-Entwickler baut Windows-Loader für Linux

  9. Dan Cases A4-SFX v2

    Minigehäuse erhält Fenster und wird Wakü-kompatibel

  10. Razer Core im Test

    Grafikbox + Ultrabook = Gaming-System



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Google I/O: Google verzückt die Entwickler
Google I/O
Google verzückt die Entwickler
  1. Neue Version im Hands On Android TV bekommt eine vernünftige Kanalübersicht
  2. Play Store Google nimmt sich Apps mit schlechten Bewertungen vor
  3. Daydream Standalone-Headsets auf Preisniveau von Vive und Oculus Rift

Panasonic Lumix GH5 im Test: Die Kamera, auf die wir gewartet haben
Panasonic Lumix GH5 im Test
Die Kamera, auf die wir gewartet haben
  1. Die Woche im Video Scharfes Video, spartanisches Windows, spaßige Switch

Asus B9440 im Test: Leichtes Geschäftsnotebook liefert zu wenig Business
Asus B9440 im Test
Leichtes Geschäftsnotebook liefert zu wenig Business
  1. ROG-Event in Berlin Asus zeigt gekrümmtes 165-Hz-Quantum-Dot-Display und mehr

  1. Re: Wie die Frauenquote: Schwachsinn.

    GenXRoad | 17:34

  2. O2 LTE vs. Vodafone/Telekom UMTS

    strauch | 17:34

  3. Re: Kann ich mit Alditalk nicht bestätigen

    DerWeise | 17:34

  4. Re: Kann nicht sein!!!

    DeathMD | 17:34

  5. Re: Was verbaut man da drin?

    Schattenwerk | 17:33


  1. 17:20

  2. 16:59

  3. 16:30

  4. 15:40

  5. 15:32

  6. 15:20

  7. 14:59

  8. 13:22


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel